蜀门Online加密分析
分析仅仅是为了娱乐而已,游戏也不难。有错误就不好意思了。
这个游戏加了个TMD的壳，会关闭调试端口，在内核里面打个补丁就好了。
首先找到收报和发包明文的地址。如果游戏更新地址不对，请用特征码重新找:
收报HOOK地址:
009A6C60 /$ 56 push esi
009A6C61 |. 8BF1 mov esi, ecx
009A6C63 |. 8B46 10 mov eax, dword ptr [esi+10]
009A6C66 |. 8B80 DC000000 mov eax, dword ptr [eax+C4]
009A6C6C |. 57 push edi
009A6C6D |. 50 push eax ; 解秘数据buffer
009A6C6E |. E8 5DF2FFFF call 009A5ED0 ; ----hook recv这里
009A6C73 |. 84C0 test al, al
009A6C75 |. 74 47 je short 009A6CBE
009A6C77 |. 8B7C24 0C mov edi, dword ptr [esp+C]
009A6C7B |. EB 03 jmp short 009A6C80
009A6C7D | 8D49 00 lea ecx, dword ptr [ecx]
009A6C80 |> 8B4E 10 /mov ecx, dword ptr [esi+10]
009A6C83 |. 8B89 DC000000 |mov ecx, dword ptr [ecx+DC]
009A6C89 |. 57 |push edi
009A6C8A |. E8 C1DFFFFF |call 009A4C50
009A6C8F |. 8B56 10 |mov edx, dword ptr [esi+10]
009A6C92 |. 8B8A DC000000 |mov ecx, dword ptr [edx+DC]
009A6C98 |. E8 C3DEFFFF |call 009A4B60 ; lwgucky
009A6C9D |. 84C0 |test al, al
009A6C9F |. 74 24 |je short 009A6CC5
009A6CA1 |. 57 |push edi
009A6CA2 |. 8BCE |mov ecx, esi
009A6CA4 |. E8 27FAFFFF |call 009A66D0
009A6CA9 |. 8B46 10 |mov eax, dword ptr [esi+10]
009A6CAC |. 8B80 DC000000 |mov eax, dword ptr [eax+DC]
009A6CB2 |. 50 |push eax
009A6CB3 |. 8BCE |mov ecx, esi
009A6CB5 |. E8 16F2FFFF |call 009A5ED0
009A6CBA |. 84C0 |test al, al
009A6CBC |.^ 75 C2 jnz short 009A6C80
009A6CBE |> 5F pop edi
009A6CBF |. 32C0 xor al, al
009A6CC1 |. 5E pop esi
009A6CC2 |. C2 0400 retn 4
发包HOOK的地方:
009A65E0 /$ 56 push esi
009A65E1 |. 8BF1 mov esi, ecx
009A65E3 |. 83BE F0000000>cmp dword ptr [esi+F0], 3
009A65EA |. 74 06 je short 009A65F2
009A65EC |. 32C0 xor al, al
009A65EE |. 5E pop esi
009A65EF |. C2 0C00 retn 0C
009A65F2 |> 8B4424 08 mov eax, dword ptr [esp+8]
009A65F6 |. 8B4E 10 mov ecx, dword ptr [esi+10]
009A65F9 |. 8B89 D8000000 mov ecx, dword ptr [ecx+D8]
009A65FF |. 57 push edi
009A6600 |. 50 push eax ; [eax+010]=数据长度;d [eax+0c]=数据;
009A6601 |. E8 AAE5FFFF call 009A4BB0
009A6606 |. 807C24 14 00 cmp byte ptr [esp+14], 0
009A660B |. 8B56 10 mov edx, dword ptr [esi+10]
009A660E |. 8B82 D8000000 mov eax, dword ptr [edx+D8]
009A6614 |. 8B88 14FB0000 mov ecx, dword ptr [eax+FB14]
009A661A |. 66:8B96 56010>mov dx, word ptr [esi+156] ; 包序列号
009A6621 |. 66:8911 mov word ptr [ecx], dx
009A6624 |. 8B46 10 mov eax, dword ptr [esi+10]
009A6627 |. 8B88 D8000000 mov ecx, dword ptr [eax+D8]
009A662D |. 8BB9 0CFB0000 mov edi, dword ptr [ecx+FB0C]
009A6633 |. 74 07 je short 009A663C
009A6635 |. E8 16E5FFFF call 009A4B50
009A663A |. EB 30 jmp short 009A666C
009A663C |> 807E 0D 00 cmp byte ptr [esi+D], 0
009A6640 |. 74 05 je short 009A6647
009A6642 |. E8 19E4FFFF call 009A4A60
009A6647 |> 80BE 54010000>cmp byte ptr [esi+154], 0
009A664E |. 74 1C je short 009A666C
009A6650 |. 8B8E 4C010000 mov ecx, dword ptr [esi+14C]
009A6656 |. 8B46 10 mov eax, dword ptr [esi+10]
009A6659 |. 51 push ecx ; 加密长度
009A665A |. 8B88 D8000000 mov ecx, dword ptr [eax+D8] ; 加密数据
009A6660 |. 8D96 2C010000 lea edx, dword ptr [esi+12C] ; d [[0FC2CC0]+040]+012c;[[[0FC2CC0]+040]+064+4]=sockethandle
009A6666 |. 52 push edx ; 加密种子
009A6667 |. E8 44E3FFFF call 009A49B0 ; 加密 -----hook send这里
00A6F21C 8B4E 10 mov ecx, dword ptr [esi+10]
00A6F21F 8B81 C0000000 mov eax, dword ptr [ecx+C0]
00A6F225 8B88 0CFB0000 mov ecx, dword ptr [eax+FB0C]
009A667B |. 51 push ecx ; len
009A667C |. 83C0 04 add eax, 4
009A667F |. 50 push eax ; buffer
009A6680 |. 8BCE mov ecx, esi
009A6682 |. E8 19FDFFFF call 009A63A0 ; 发送加密
009A6687 |. 84C0 test al, al
009A6689 |. 75 05 jnz short 009A6690
009A668B |. 5F pop edi
009A668C |. 5E pop esi
通过 hook 这个两个函数，通过分析协议，已经能够做一个基于封包的内挂了。需要多说一嘴的是，如果你直接分析包，可能会发现找包的类型标示不容易，包标示是通过包的第二个WORD字节标示的，具体算法大概是就是第二个WORD % 8了。。（忘记了。）